ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา
กลับสู่ศูนย์แจ้งเตือนภัยคุกคาม (All Advisories)
CRITICALCVSS 9.8TLP:CLEAR
UPCYBER-ADV-2026-062
10 ตุลาคม 256925 ครั้ง

แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤต Remote Code Execution ใน ONLYOFFICE Docs (CVE-2021-3199)

CISA KEV: ONLYOFFICE Docs Server Path Traversal Vulnerability in ONLYOFFICE Docs (CVE-2021-3199)

9.8
CVSS v3.x Score
CRITICAL SEVERITY
ประเภทภัยคุกคาม
ช่องโหว่ความปลอดภัย (Vulnerability)
แหล่งที่มาข้อมูล
CISA KEV
CVE-2021-3199CWE-22Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
บทสรุปภาพรวม (Executive Summary)

ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2021-3199 ในระบบ ONLYOFFICE Docs ซึ่งมีระดับความรุนแรง CVSS สูงสุดถึง 9.8 ช่องโหว่นี้เกิดจากข้อบกพร่องในการจัดการพาธ (Path Traversal) ผ่านพารามิเตอร์การอัปโหลดรูปภาพในฟังก์ชัน /upload เมื่อเปิดใช้งาน JSON Web Token (JWT) ทำให้ผู้ไม่หวังสามารถโจมตีจากระยะไกลเพื่อลักลอบรันคำสั่งอันตราย (Remote Code Execution) บนเซิร์ฟเวอร์ได้โดยไม่ต้องมีการยืนยันตัวตน

ตารางวิเคราะห์ระบบที่ได้รับผลกระทบและการแก้ไข (Matrix)
ผลิตภัณฑ์และเวอร์ชันที่พบช่องโหว่ (Affected)
ONLYOFFICE Docs
เวอร์ชันที่ได้รับการแก้ไขแล้ว (Fixed / Patched)
อัปเดต ONLYOFFICE Document Server เป็นเวอร์ชัน 5.6.3 หรือเวอร์ชันล่าสุดที่ได้รับการแก้ไขช่องโหว่ความปลอดภัยจากผู้พัฒนา
รายละเอียดช่องโหว่และรูปแบบการโจมตี

รายละเอียดเชิงเทคนิคของช่องโหว่ (Technical Details)

ช่องโหว่ความปลอดภัย CVE-2021-3199 จัดเป็นช่องโหว่ประเภท Directory Traversal (CWE-22) ที่ส่งผลกระทบต่อระบบ ONLYOFFICE Document Server ก่อนเวอร์ชัน 5.6.3 โดยมีกลไกการโจมตีและผลกระทบดังนี้:

  • สาเหตุของช่องโหว่ (Root Cause): ระบบจัดการเส้นทางไฟล์ในส่วนการอัปโหลดภาพ (/upload) ไม่มีการตรวจสอบและกรองอักขระพิเศษอย่างรัดกุมเพียงพอ
  • ช่องทางและวิธีการโจมตี (Attack Vector): ผู้ไม่ประสงค์ดีสามารถส่งคำขอที่มีชุดอักขระเส้นทางไดเรกทอรี (เช่น ลำดับ /..) แทรกเข้ามาผ่านพารามิเตอร์การอัปโหลดภาพ แม้ว่าระบบจะมีการใช้งาน JSON Web Token (JWT) อยู่ก็ตาม
  • ผลกระทบต่อระบบ (Impact): ช่องโหว่นี้เปิดช่องให้ผู้โจมตีที่ไม่มีสิทธิ์เข้าถึง (Unauthenticated Remote Attacker) สามารถเข้าถึงไฟล์ระบบที่ไม่ได้รับอนุญาต และนำไปสู่การรันคำสั่งอันตรายจากระยะไกล (Remote Code Execution - RCE) ได้ ส่งผลให้ระบบเซิร์ฟเวอร์ทั้งหมดตกอยู่ภายใต้การควบคุมของผู้โจมตี
ข้อเสนอแนะและมาตรการการปฏิบัติ (Recommendations & Workarounds)

แนวทางการปฏิบัติและการบรรเทาความเสี่ยง (Mitigation & Recommendations)

  • ดำเนินการอัปเดตแพทช์: ตรวจสอบและอัปเดตระบบ ONLYOFFICE Docs ให้เป็นเวอร์ชันล่าสุด หรือเวอร์ชันที่ได้รับการแก้ไขช่องโหว่อย่างเป็นทางการจากผู้พัฒนาโดยด่วน
  • การจำกัดการเข้าถึงเครือข่าย: ตรวจสอบและจำกัดการเข้าถึงอินเทอร์เน็ตของเซิร์ฟเวอร์ ONLYOFFICE Docs ให้เปิดใช้งานเฉพาะเครือข่ายภายในหรือผู้ใช้งานที่จำเป็นเท่านั้น เพื่อลดพื้นผิวการโจมตี (Attack Surface)
  • การปฏิบัติตามมาตรฐานความปลอดภัย: หน่วยงานที่มีการใช้งานควรปฏิบัติตามแนวทางการจัดการช่องโหว่เร่งด่วน พร้อมทั้งประเมินการเปิดเผยข้อมูลบนอินเทอร์เน็ตของสินทรัพย์ทั้งหมดตามแนวปฏิบัติที่เกี่ยวข้อง
  • การตรวจสอบและเฝ้าระวัง: ตรวจสอบบันทึกการใช้งาน (Log) ย้อนหลังของระบบเพื่อค้นหากิจกรรมที่ผิดปกติหรือความพยายามในการเข้าถึงเส้นทางไดเรกทอรีที่ไม่ได้รับอนุญาต
// แหล่งข้อมูลอ้างอิง (References)
แชร์การแจ้งเตือนนี้:

การแจ้งเตือนภัยคุกคามที่เกี่ยวข้อง (Related Advisories)

CRITICAL 27 ต.ค. 2569

Oracle ออกแพตช์อัปเดตประจำเดือนตุลาคม 2026 (October 2026 CPU) แก้ไขช่องโหว่กว่า 1,200 รายการ

CRITICAL 9.327 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤตที่กำลังถูกโจมตีใน Adobe Commerce and Magento (CVE-2026-48356)

CRITICAL 26 ต.ค. 2569

แจ้งเตือน! ช่องโหว่ระดับ Critical ใน HPE ArubaOS เสี่ยงถูกสั่งรันคำสั่งและข้ามการยืนยันตัวตน

HIGH 23 ต.ค. 2569

🚨 แจ้งเตือน! พบช่องโหว่ใหม่ CVE-2026-115560 ใน PHP เสี่ยงถูกรันคำสั่งบนเว็บเซิร์ฟเวอร์